Computer_Study

StolenByte 를 구하라고 하는데 StolenByte가 뭔지 잘몰라서 검색을 해보니 OEP와 비슷한것 같다. 파일을 실행했을때는 abexcrackme3가 있었는데 이를 패킹 한것같았다. 디버거에서 잡아주는 EntryPoint에 pushad가 있어 popad를 찾아서 StepOver하니 OEP를 찾을 수 있었다.

키를 찾는 문제인것 같다. 실행하면 다음과 같이 나온다. 아무런 값을 넣고 실행한뒤 나오는 경고문을 string으로 찾으면 다음과 같이 Id와 SerialNumber가 나온다. 6번문제는 Pack되어 있는 프로그램에 OEP와 Serial을 구하는 문제이다. Serial은 위와 같은 방식으로 똑같이 찾을 수 있다. OEP같은 경우에는 Ollydbg에서 이를 자동으로 찾아주지만 직접따라가 봐도 찾을 수 있다.

디버거 프로그램을 탐지하는 프로그램인 것 같다. 그냥 실행했을때 이렇게 떴지만 디버거로 켰을때는 디버깅 당한다는 글로 바뀌었다. 디버거를 한줄한줄 실행시켜보며 Step in도 해보다 보면 아래와 같은 함수를 쉽게 볼수 있다. 1초의 Delay를 주면서 IsDebuggerPresent 함수로 디버거 여부를 확인한다. IsDebuggerPresent 함수도 내부에는 별 내용이 없었다.

시작 부터 고비였다. 02번 문제가 프로그램이 깨져서 작동을 안하는 걸 flag를 찾는것이었는데 이번것도 그런건줄 알고 이것저것 열어봤는데 다시 읽어보니 DLL이 없는 것이었다. 그래서 해당 DLL 설치하고 다시 실행하니 잘됐다. 처음 뜨는 창을 보고 뭔가 잘못한줄 알았다. 하지만 보니 Passwort -> Password인 것같아서 그대로 실행했다. 실행하면 code 입력 창이나온다. 아마 이 코드를 찾는 문제인것같다. 비슷한 유형의 문제를 리버싱입문 책에서 봤기 때문에 같은 방향으로 해결할 수 있을 것 같았다. asdf입력하니 틀렸다고 나온다. 디버거로 열어보고 실행해 보았다. 순차적으로 진행하면서 보고 있었는데 생각해보니 string을 검색하면 됬던 것이었다. 아래에 틀렸을때 실행되는 부분이 나와 ..

최종 실습으로 먼저 가상환경으로 윈도우7을 설치 했다. 예전에 우리가 봤던 지뢰찾기 게임을 볼 수 있다. 책에서는 먼저 작동 방식을 가정하고 시작한다. 예를들자면 시간을 조절하는 함수 같은경우에 setTimer를 사용했다는 가정이다. ollydbg로 지뢰찾기를 실행하고 함수 목록을 보면 setTimer가 있다. 이 주소 부터 시작하면 setTimer에 들어가는 매개변수부터 본다면 Timer에 uElapse가 시간의 간격을 조절한다. 1000일때 1초를 의미한다. 디버거에서도 보면 그에 해당하는 인자가 들어간다. 그래서 이 1000을 5000으로 바꿔준다면 사진으로는 안느껴지겠지만 1초가 5초에한번 씩 흐른다. 다음으로 해볼 내용은 지뢰가 있는 위치를 만드는 맵핵을 만드는것이다. 이것을 만들기 위해서는 게..

패킹 - 프로그램 코드 크기를 줄이기 위해 압축하거나 프로그램분석을 어렵게 하기위해 암호화하는것 - Compressing 압축 ex) Petite ASPack MEW FSG UPX - Protecting 암호화 ex) Themeda Yoda ASProtect armadillo UPX(Ultimate Packer for Executables) - 오픈소스실행압축파일 upx를 이용해서 전에 쓴 abexcrackme1을 압축한 모습이다. 각 파일을 Detect It Easy로 확인해보면 그 차이를 비교해 볼 수 있다. 코드를 언패킹 할 Entry Point가 달라진다. 패킹된 프로그램을 언패킹된 상태에서 저장할 수도 있지만 중요한 것은 실제 엔트리 포인터를 찾아야 된다는것이다. 그중 Original Entry..

이번장에서는 예전에 봤던 Lena강의에 대해서 나온다. 유명한(?) 리버싱 입문 강의이다. 이번장에서는 15, 17, 20강을 보는데 나중에 1~40까지 다 봐야할 것 같다. 15강 프로그램을 실행하면 이상한 창이 떠있다. Nag창을 없애는것이 이번 목표인 것같다. 콜 스택 - 서브루틴간 호출 순서를 추적하기 위해 사용 - Return Address는 서브루틴 이후에 있음 - Stack Frame : 프레임포인터, 스택포인터 사이 - Stack Pointer : 서브루틴의 최상위 스택값 Alt + K : 콜 스택 창 책에 있는대로 실습을 하려했는데 콜스택창에 함수가 안뜬다; (원인은 나중에 더 강해져서 찾아보자) 그래서 그냥 읽고 넘어가기로 했다. Code Cave : 작은공간에 큰 코드를 넣기 위한 기..

abex' crackme 3번 예제를 이어서 공부해본다. 시작전에 detect it easy 프로그램을 이용하면 이 프로그램에 관한 정보를 얻을 수 있다. 함수 호출 규약 : 인자를 전달하는 방식이나, 함수 실행이 끝나고 스택을 정리하는 방식에대한 약속 -cdecl : 오른쪽->왼쪽 스택전달, 함수가 종료될때 호출자가 스택프레임 정리 -stdcall : 오른쪽->왼쪽 스택전달, 함수가 종료될때 피호출자가 스스로 스택프레임 정리 -fastcall : 오른쪽->왼쪽 레지스터전달, 레지스터를 사용해서 스택정리 x 시작 부분에서 모든 분기점을 한눈에 볼 수 있다. CreateFileA에서 파일여부를 확인하고 GetFileSize에서 파일사이즈를 확인해서 통과시키는것같다. CMP EAX,12 인걸 보니 사이즈 1..

abex' crackme 2번 예제를 이어서 공부해본다. 아무알파벳을 입력해보니 오류창이 뜬다. 마찬가지로 ollydbg에서 이를 열고 실행해 보았다. ollydbg에서는 문자열에 따라서 검색하는 기능이 존재한다. 아마 저부분이 정답일 때 나오는 키워드 인것같다. 하지만 보면 다른 주소에도 같은 키워드가 존재한다. 이를 따라가보면 한곳은 정의하고 한곳은 사용하는 부분이다. 필요한 부분에서 breakpoint를 걸어서 자세한 정보를 확인 할 수 있다. 다음과같이 breakpoint를 걸고 동작시키면서 분석해볼 것이다. ESP -> 현재 스택의 위치 EIP -> 다음 작동 명령어 주소 위치 EBP-0E4에 ERROR 문자열이 저장된 004023D0를 0040237C로 변경하면 다음과같이 저장되 있는 문자열이..

abex' crackme 1번 예제를 공부해본다. 하드디스크를 CDRom처럼 생각하게 하라는것이다. PEView로 봤을때 다음과 같다. EP(Entry Point) : 운영체제가 최초로 제어를 프로그램으로 넘기는 지점 PE구조는 상대주소로 지정 : Base Address + RVA 따라서 시작점은 Image Base 400000 + Address of Entry Point 1000 Ollydbg로 열어봤을때 401000에서 시작한다. F8 스텝오버 : 한줄씩 실행 F7 스텝인투 : 실행하되 실행명령어 주소에 있는 서브루틴으로 들어감 F2 브레이크포인트 : 중단점 F9 프로그램 실행 : 실행 ctrl + F2 프로그램 재실행 NumLock + : 전진 NumLock - : 후진 IAT 테이블의 API를 부..